# Как собрать базу подписчиков для SMS‑рассылок без нарушения GDPR: пошаговое руководство 2026

- Опубликовано: 2026-10-27T16:54:00+00:00
- Обновлено: 2026-10-27T16:58:51+00:00
- Автор: Камилла Ершова
- Канонический URL: https://smsblog.ru/biznes-kommunikacii/kak-sobrat-bazu-podpischikov-dlya-sms-rassylok-bez-narusheniya-gdpr-po/

Сбор базы подписчиков для SMS‑рассылок требует явного, информированного и документированного согласия каждого получателя согласно статье 6 и 7 GDPR. Используйте двойной.opt-in (double opt-in) с записью времени, IP и текста согласия, храните доказательства и предоставляйте простой способ отписки в каждом сообщении. Любой иной способ сбора — прямое нарушение регламента и риск штрафов до 20 млн евро или 4 % годового оборота.

## Основы GDPR для SMS‑маркетинга: что нужно знать перед сбором базы

GDPR (General Data Protection Regulation) регулирует обработку персональных данных физических лиц в ЕС. Номер телефона — это персональные данные (ст. 4 п. 1 GDPR), а рассылка маркетинговых сообщений — обработка на основании согласия или законных интересов (ст. 6). Ключевые принципы: законность, честность, прозрачность, ограничение цели, минимизация данных, точность, ограничение хранения, целостность и конфиденциальность (ст. 5). Нарушение любого принципа влечет ответственность по ст. 83.

Для SMS‑маркетинга критически важны: учет прав субъектов данных (ст. 12–22), обязательство демонстрировать соблюдение (accountability, ст. 5 п. 2), назначение DPO при массовой обработке (ст. 37), ведение реестра операций обработки (ROPA, ст. 30) и оценка воздействия на защиту данных (DPIA) при высоких рисках (ст. 35). В 2026 году регуляторы (CNIL, BfDI, AEPD) фокусируются на доказательной базе согласия и простоте отзыва.

## Законные основания для обработки номеров телефонов

Статья 6 GDPR перечисляет шесть законных оснований. Для коммерческих SMS‑рассылок применимы два: согласие (п. 1 lit. a) и законные интересы (п. 1 lit. f). Исполнение договора (lit. b) подходит только для транзакционных сообщений (коды подтверждения, статусы заказов), не для маркетинга.

### Согласие подписчика: требования к форме и записи

Согласие должно быть свободным, конкретным, информированным и однозначным (ст. 4 п. 11, ст. 7). На практике это означает: отдельный чек‑бокс (не предустановленный), понятный текст о целях рассылки, частоте, отправителе и праве отозвать согласие в любой момент. Двойной opt-in (подтверждение по ссылке в SMS или email) — золотой стандарт доказательной базы. Запишите: timestamp, IP, user‑agent, версию текста согласия, язык интерфейса.

```
POST /api/v1/consent/log
Content-Type: application/json
{ "phone": "+79001234567", "consent_version": "v3.2_2025-11", "ip": "203.0.113.45", "user_agent": "Mozilla/5.0...", "timestamp": "2026-03-15T14:32:11Z", "method": "double_opt_in_sms", "confirmation_code": "abc123", "language": "ru"
}
```

Храните логи минимум 3 года после последней рассылки или до отзыва согласия. Используйте неизменяемое хранилище (WORM, blockchain‑аннотация, подписанные PDF) для доказательной силы в суде.

### Договор и законные интересы: когда применимы

Законные интересы (legitimate interest) допустимы, если рассылка относится к существующим клиентам, касается похожих товаров/услуг (soft opt‑in по конфиденциальность Directive 2002/58/EC ст. 13), и вы провели тест балансирования интересов (LIA — Legitimate Interests Assessment). Документируйте LIA: цель, необходимость, баланс прав, меры смягчения (простая отписка, лимит частоты). Для новых контактов (лиды, покупка баз) законные интересы не работают — требуется явное согласие.

| Основание | Применимость к SMS‑маркетингу | Требования к доказательствам | Риски |
| --- | --- | --- | --- |
| Явное согласие (Art. 6.1.a) | Все сценарии, включая холодные базы | Лог double opt-in, версия текста, timestamp, IP | Низкие, если процесс документирован |
| Законные интересы (Art. 6.1.f) | Только существующие клиенты, похожие товары (soft opt-in) | LIA‑документ, запись об уведомлении о праве возражать | Высокие: регуляторы часто считают маркетинг несовместимым с интересами субъекта |
| Исполнение договора (Art. 6.1.b) | Только транзакционные SMS (OTP, доставка, оплата) | Связь с конкретным заказом/договором | Нельзя использовать для промо |

## Технические и организационные меры защиты данных

Ст. 32 GDPR требует меры, соответствующие риску. Для базы подписчиков: шифрование в покое (AES‑256) и в пути (TLS 1.3), псевдонимизация номеров в аналитических средах, контроль доступа по принципу least privilege (RBAC), логирование доступа к БД (immutable audit trail), регулярное тестирование (pentest, SAST/DAST). В 2025‑2026 годах ENISA рекомендует zero‑trust архитектуру для маркетинговых платформ.

Организационные меры: DPA (Data Processing Agreement) с каждым подрядчиком (шлюз SMS, CRM, CDP), обучение персонала раз в год, инцидент‑менеджмент с уведомлением регулятора за 72 часа (ст. 33), процедура обработки запросов субъектов данных (DSAR) за 30 дней (ст. 12). Внедрите privacy by design: минимизируйте собираемые поля (только телефон + метаданные согласия), автоматизируйте удаление по истечении срока хранения.

## Практические сценарии сбора базы: от веб‑форм до офлайн‑точек

### Онлайн‑подписка: чек‑лист соответствия

- Форма с заголовком «Подписка на SMS‑уведомления», без маркетинговых эвфемизмов.
- Чек‑бокс «Я соглашаюсь получать рекламные SMS от [Бренд]» — не отмечен по умолчанию.
- Ссылка на политику конфиденциальности рядом с чек‑боксом (открывается в новой вкладке).
- Поле телефона с маской и валидацией E.164.
- Кнопка «Подписаться» → отправка кода подтверждения на номер.
- Страница ввода кода с текстом: «Введите код из SMS, чтобы подтвердить согласие».
- После успеха — запись в consent log (см. пример API выше) и редирект на thank‑you page с ссылкой на управление подпиской.

Используйте `honeypot`‑поле и rate‑limit (макс. 3 попытки/час/IP) против ботов. Интегрируйте с CMP (Consent Management Platform) для единого реестра согласий.

### Офлайн‑сбор: бумажные формы и устное согласие

В рознице, на мероприятиях, в колл‑центре: бумажная форма с тем же текстом согласия, подпись клиента, дата, ФИО менеджера. Скан сохраняется в DMS с привязкой к записи в CRM. Устное согласие по телефону допустимо только при записи разговора (уведомление в начале) и последующем SMS‑подтверждении (double opt-in). Запрещено: добавление номеров из визиток, чеков, CRM без отдельного маркетингового согласия.

## Управление базой: сегментация, хранение и право на удаление

Сегментируйте по источнику согласия (web, offline, import), версии текста, языку, частоте. Храните только активные контакты: если подписчик не кликал/не отвечал 12 месяцев — инициируйте ре‑engagement кампанию, затем удалите. Автоматизируйте обработку STOP‑SMS: ключевые слова «STOP», «ОТПИСКА», «УДАЛИТЬ» должны мгновенно блокировать номер во всех потоках (suppression list).

DSAR‑процесс: веб‑форма / email / SMS‑бот для запросов «Что вы храните?», «Удалите мои данные», «Выдайте копию». SLA — 30 дней, продление до 60 при сложности. Логируйте каждый запрос и ответ. В 2026 году EDPB уточнил: право на удаление распространяется на бэкапы — используйте криптографическое стирание (key shredding) для архивов.

## Типичные ошибки и чек‑лист аудита перед запуском

- Покупка «целевых баз» без доказательств согласия — прямое нарушение ст. 6 и 7.
- Предотмеченные чек‑боксы или скрытые поля в форме.
- Отсутствие версии текста согласия в логах (нельзя доказать, чему соглашался пользователь).
- Нет простой отписки в каждом SMS (короткий номер или ссылка).
- Использование номеров, полученных для транзакций, для промо без отдельного согласия.
- Хранение номеров в открытом виде в Google Sheets / CSV на дисках менеджеров.
- Отсутствие DPA с SMS‑шлюзом или CRM‑провайдером.
- Нет процедуры DSAR или срок ответа > 30 дней.

Проводите внутренний аудит раз в квартал: проверьте 10% записей на наличие полного consent log, актуальность версий политики, работоспособность STOP‑ключевых слов, наличие DPA у всех суб‑процессоров. Документируйте результаты — это ваш главный аргумент при проверке регулятора.

## Заключение

Соблюдение GDPR при сборе базы для SMS‑рассылок — не бюрократия, а инженерная задача: проектируйте процесс согласия как критически важный микросервис с аудитом, версионированием и отказоустойчивостью. Инвестиции в double opt-in, consent log, DPA и автоматизацию DSAR окупаются снижением рисков штрафов, репутационных потерь и повышением доставляемости (операторы фильтруют спам по жалобам). Начните с аудита текущей базы: удалите контакты без доказательств согласия, внедрите единый стандарт сбора и назначьте ответственного за compliance. В 2026 году это минимальный порог входа в легальный SMS‑маркетинг.

## FAQ

### Можно ли использовать номера из CRM для SMS‑маркетинга, если клиент купил товар?

Только если клиент дал отдельное маркетинговое согласие. Покупка (договор) дает право на транзакционные сообщения, но не на промо. Нужен отдельный чек‑бокс или double opt-in.

### Что такое soft opt-in и работает ли он в GDPR?

Soft opt-in — исключение в конфиденциальность Directive (ст. 13) для существующих клиентов по похожим товарам. В GDPR это обрабатывается через законные интересы (Art. 6.1.f) с обязательным LIA. Не работает для новых лидов и холодных баз.

### Как хранить доказательства согласия, если используется сторонний SMS‑шлюз?

Договоритесь о передаче callback‑данных (delivery receipt, MO‑сообщения STOP) в вашу систему consent log. Подпишите DPA с шлюзом, пропишите обязанность хранить логи доставки минимум 3 года.

### Нужно ли назначать DPO для SMS‑рассылок?

Обязательно, если основная деятельность — массовая обработка специальных категорий данных или систематический мониторинг (ст. 37). Для большинства электронная коммерция и SaaS — рекомендуется добровольно, чтобы закрыть accountability.

### Как обработать запрос «Удалите мои данные», если номер есть в бэкапах?

Удалите из продакшн‑БД и suppression list. Для бэкапов примените криптографическое стирание: уничтожьте ключ шифрования, которым зашифрован этот бэкап (key shredding). Документируйте процедуру.

### Можно ли собирать согласие через один чек‑бокс на email и SMS одновременно?

Не рекомендуется. GDPR требует конкретного согласия на каждую цель обработки. Разделите: отдельный чек‑бокс для email, отдельный для SMS, с разными текстами и логами.

### Какие штрафы реальны за нарушения в SMS‑маркетинге?

До 20 млн евро или 4 % глобального оборота (ст. 83). В 2025‑2026 годах фиксируются штрафы 50–500 тыс. евро за отсутствие доказательств согласия, игнорирование STOP‑запросов и утечки баз.

### Как часто нужно обновлять версию текста согласия?

При любом изменении целей, частоты, отправителя или политики конфиденциальности. Версионируйте (v1.0, v1.1…) и требуйте ре‑подтверждение от активной базы раз в 12–18 месяцев.

## Источники

- В материале не указаны внешние источники.